【正文】 主要包括：行政法律手段、各種管理制度(人員審查、工作流程、維護(hù)保障制度等)以及專業(yè)技術(shù)措施(訪問控制、加密技術(shù)、認(rèn)證技術(shù)、攻出檢測(cè)技術(shù)、容錯(cuò)、防病毒等)。 從等級(jí)化防護(hù)體系設(shè)計(jì)的角度，必須符合《關(guān)于信息安全等級(jí)保護(hù)工作的實(shí)施意見》（公通字[2004]66號(hào)文件）對(duì)應(yīng)五個(gè)等級(jí)信息系統(tǒng)防護(hù)體系的要求，必須符合《北京市黨政機(jī)關(guān)信息系統(tǒng)安全測(cè)評(píng)規(guī)范》中，對(duì)不同級(jí)別信息網(wǎng)絡(luò)的安全基本要求，重點(diǎn)針對(duì)蕪湖社保局的實(shí)際情況，進(jìn)行定級(jí)，并根據(jù)定級(jí)結(jié)果和對(duì)相應(yīng)等級(jí)的技術(shù)要，進(jìn)行安全防護(hù)系統(tǒng)的劃分；216。 蕪湖社保局的符合政策層面的需求正如前面所述，蕪湖社保局是蕪湖市市政府的重要組成部門，其信息化建設(shè)必須符合國家和蕪湖市政府的相關(guān)規(guī)定和要求，從安全的角度，必須遵從國信辦、信息化辦公室等相關(guān)部門的要求，對(duì)信息安全保障體系進(jìn)行全面的規(guī)劃和設(shè)計(jì)，符合相關(guān)標(biāo)準(zhǔn)，確保蕪湖社保局信息網(wǎng)絡(luò)安全保障體系的廣度和深度。 需要建立完善的網(wǎng)絡(luò)與安全人員管理制度；216。 能夠?qū)崿F(xiàn)對(duì)全網(wǎng)安全事件的關(guān)聯(lián)分析，發(fā)生安全事故時(shí)，能夠準(zhǔn)確定位事故產(chǎn)生的節(jié)點(diǎn)和事故原因；252。 能夠?qū)崿F(xiàn)對(duì)終端操作系統(tǒng)補(bǔ)丁的統(tǒng)一升級(jí)；252。 為方便系統(tǒng)管理員查看審計(jì)信息，提供了審計(jì)查看檢索功能。 具備強(qiáng)大的輸入輸出審計(jì)功能，不僅能夠詳細(xì)記錄用戶操作的每一條指令，而且能夠?qū)⑺械妮敵鲂畔⑷坑涗浵聛?；具備審?jì)回放功能，能夠模擬用戶的在線操作過程，豐富和完善了網(wǎng)絡(luò)的內(nèi)控審計(jì)功能。 對(duì)用戶的網(wǎng)絡(luò)設(shè)備、服務(wù)器等核心資產(chǎn)的常用訪問方式，例如Telnet、SSH、ftp等字符終端訪問及RDP、XWindow等圖形終端訪問，通過協(xié)議代理的技術(shù)進(jìn)行訪問控制和審計(jì)，實(shí)現(xiàn)對(duì)用戶行為的控制、追蹤、判定，滿足企業(yè)內(nèi)部網(wǎng)絡(luò)對(duì)資源安全性的要求。 內(nèi)部服務(wù)器區(qū)域與互聯(lián)網(wǎng)辦公網(wǎng)之間物理隔離；252。 系統(tǒng)具備防范病毒、蠕蟲和惡意代碼的能力；252。多設(shè)備自動(dòng)探測(cè)技術(shù)實(shí)現(xiàn)多設(shè)備自動(dòng)協(xié)調(diào)工作達(dá)到最優(yōu)效果。l 易于使用及部署透明、路由及混合接入模式最大程度上減少用戶網(wǎng)絡(luò)結(jié)構(gòu)的調(diào)整。能夠根據(jù)應(yīng)用、鏈路的健康狀況，智能調(diào)整流量在多鏈路、多服務(wù)器之間的分配，并自動(dòng)完成切換，提升網(wǎng)絡(luò)和應(yīng)用的可用性。多重鏈路的架構(gòu)提供了更可靠、效能更好的網(wǎng)絡(luò)傳輸。責(zé)權(quán)不明，管理混亂、安全管理制度不健全及缺乏可操作性等都可能引起管理安全的風(fēng)險(xiǎn)。 非法人員進(jìn)入重要部門或機(jī)房，非法獲得資料或?qū)υO(shè)備進(jìn)行破壞；216。 內(nèi)部不滿的員工有的可能熟悉服務(wù)器、小程序、腳本和系統(tǒng)的弱點(diǎn)。216。 系統(tǒng)安全風(fēng)險(xiǎn)目前蕪湖社保局信息網(wǎng)絡(luò)中所使用的操作系統(tǒng)主要是WINDOWS系統(tǒng)，我們知道，WINDOWS系統(tǒng)中存在眾多的安全隱患，這些安全隱患很容易被攻擊者利用，對(duì)蕪湖社保局信息網(wǎng)絡(luò)造成很大的破壞，嚴(yán)重地將導(dǎo)致系統(tǒng)的崩潰和癱瘓。 內(nèi)部用戶通過掃描軟件或取其他用戶系統(tǒng)或服務(wù)器的各種信息，并利用這些信息對(duì)整個(gè)網(wǎng)絡(luò)或其他系統(tǒng)進(jìn)行破壞。 網(wǎng)絡(luò)安全風(fēng)險(xiǎn)216。 電磁輻射可能造成數(shù)據(jù)信息被竊取或偷閱；216。 物理安全風(fēng)險(xiǎn)216。 完整性：確保信息和信息處理方法的準(zhǔn)確性和完整性；216。 惡意進(jìn)行設(shè)備、傳輸線路的物理損壞和破壞；216。內(nèi)部人員攻擊內(nèi)部人員攻擊可以分為惡意或無惡意攻擊。這種攻擊可能是在產(chǎn)品里引入惡意代碼，比如后門。 對(duì)配置數(shù)據(jù)的收集、修改；216。絕對(duì)防止主動(dòng)攻擊是十分困難的，因?yàn)樾枰S時(shí)隨地對(duì)通信設(shè)備和通信線路進(jìn)行物理保護(hù)，因此抗擊主動(dòng)攻擊的主要途徑是檢測(cè)，以及對(duì)此攻擊造成的破壞進(jìn)行恢復(fù)。216。 假冒：某個(gè)實(shí)體假裝成另外一個(gè)實(shí)體，以便使一線的防衛(wèi)者相信它是一個(gè)合法的實(shí)體，取得合法用戶的權(quán)利和特權(quán)，這是侵入安全防線最為常用的方法；216。 對(duì)網(wǎng)絡(luò)中存在漏洞的操作系統(tǒng)進(jìn)行探測(cè)；216。對(duì)于蕪湖社保局信息網(wǎng)絡(luò)來講，被動(dòng)攻擊的行為可能有以下幾種形式：216。這些攻擊手段都是通過過尋找系統(tǒng)的弱點(diǎn)，以便達(dá)到破壞、欺騙、竊取數(shù)據(jù)等目的，造成經(jīng)濟(jì)上和政治上不可估量的損失。這些無目的的事件，有時(shí)會(huì)直接威脅網(wǎng)絡(luò)的安全，影響信息的存儲(chǔ)媒體。 非人為的安全威脅非人為的安全威脅主要分為兩類：一類是自然災(zāi)難，另一類為技術(shù)局限性。 國際媒體：向紙業(yè)和娛樂業(yè)的媒體收集并散發(fā)——有時(shí)是非授權(quán)的——新聞的組織。 黑客：攻擊網(wǎng)絡(luò)和系統(tǒng)以發(fā)現(xiàn)在運(yùn)行系統(tǒng)中的弱點(diǎn)或其它錯(cuò)誤的一些個(gè)人，這些人員可能在系統(tǒng)外部，也可能在系統(tǒng)內(nèi)部，其對(duì)網(wǎng)絡(luò)的攻擊帶有很強(qiáng)的預(yù)謀性，往往對(duì)系統(tǒng)的正常運(yùn)行造成很大的破壞，或者造成機(jī)密信息的外泄。 網(wǎng)絡(luò)安全威脅分析威脅是一種對(duì)系統(tǒng)、組織及其資產(chǎn)構(gòu)成潛在破壞能力的可能性因素或者事件,包括威脅來源和威脅手段，網(wǎng)絡(luò)安全所面臨的威脅來自很多方面，針對(duì)蕪湖社保局信息網(wǎng)絡(luò)，其面臨的安全威脅有非人為威脅和人為的威脅。252。對(duì)于蕪湖社保局信息網(wǎng)絡(luò)，在管理方面的弱點(diǎn)包括：252。具體而言，軟件是安裝在服務(wù)器、工作站等硬件之上的，所以軟件資產(chǎn)的安全威脅和脆弱性也就必然要包括這些硬件所受的技術(shù)故障、人員錯(cuò)誤以及物理和環(huán)境的威脅和脆弱性。如果存在網(wǎng)絡(luò)內(nèi)訪問混亂，外來人員也很容易接入網(wǎng)絡(luò)，地址被隨意使用等問題，將導(dǎo)致網(wǎng)絡(luò)難以管理，網(wǎng)絡(luò)工作效率下將，無法部署安全設(shè)備、對(duì)攻擊者也無法進(jìn)行追蹤審計(jì)。 系統(tǒng)和應(yīng)用脆弱性蕪湖社保局信息網(wǎng)絡(luò)運(yùn)行有大量的重要服務(wù)器，眾所周知，每一種操作系統(tǒng)都包含有漏洞（如下表所示），開發(fā)廠商也會(huì)定期發(fā)布不訂包。黑客為了進(jìn)行IP欺騙，進(jìn)行以下工作：使得被信任的主機(jī)喪失工作能力，同時(shí)采樣目標(biāo)主機(jī)發(fā)出的TCP序列號(hào)，猜測(cè)出它的數(shù)據(jù)序列號(hào)。所以安全弱點(diǎn)是分析安全風(fēng)險(xiǎn)的首要因素，針對(duì)蕪湖社保局信息網(wǎng)絡(luò)，我們分析其存在以下的安全弱點(diǎn)： 網(wǎng)絡(luò)結(jié)構(gòu)脆弱性針對(duì)蕪湖社保局信息網(wǎng)絡(luò)的基礎(chǔ)協(xié)議TCP/IP，由于其自身的缺陷，也使蕪湖社保局信息網(wǎng)絡(luò)存在先天的一些弱點(diǎn)。 針對(duì)蕪湖社保局的信息資產(chǎn)，總是存在一些人為的或者非人為的威脅因素，而威脅只有利用了信息資產(chǎn)的弱點(diǎn)之后，才會(huì)轉(zhuǎn)換為對(duì)信息資產(chǎn)的風(fēng)險(xiǎn)；216。l 負(fù)責(zé)促進(jìn)就業(yè)工作，擬訂統(tǒng)籌城鄉(xiāng)就業(yè)發(fā)展的規(guī)劃和政策，完善公共就業(yè)服務(wù)體系；建立就業(yè)援助制度，完善職業(yè)資格制度；統(tǒng)籌建立面向城鄉(xiāng)勞動(dòng)者的職業(yè)培訓(xùn)制度。蕪湖市人力資源與社會(huì)保障局各層領(lǐng)導(dǎo)對(duì)安全工作非常重視，從逐年加大在安全建設(shè)方面的投資，進(jìn)行了一系列的安全組織、制度、管理和技術(shù)方面的安全建設(shè)工作，在近期要求的安全工作包括加強(qiáng)基礎(chǔ)安全管理，包括落實(shí)組織保障和安全責(zé)任；逐步開展安全建設(shè)。近年來，利用信息網(wǎng)絡(luò)的安全漏洞或后門竊取、倒賣涉密信息獲取利益，或在互聯(lián)網(wǎng)上惡意公開個(gè)人私密信息的事件頻繁發(fā)生；而傳統(tǒng)網(wǎng)絡(luò)IP化、設(shè)備實(shí)現(xiàn)軟件化、3G業(yè)務(wù)等新技術(shù)、新形式的出現(xiàn)，電信網(wǎng)、互聯(lián)網(wǎng)和重要信息系統(tǒng)面臨的安全形勢(shì)越來越嚴(yán)峻。與此同時(shí)，公民的隱私及安全問題很突出，特別是涉及公眾個(gè)人的隱私泄露，如銀行卡及手機(jī)支付等個(gè)人賬號(hào)密碼信息的竊取，給公眾帶來很多損害，引起群眾的強(qiáng)烈反響。二十年前，黑客攻擊網(wǎng)絡(luò)、竊取信息主要是為了好奇或者想炫耀自己的能力。網(wǎng)絡(luò)犯罪背后的黑色產(chǎn)業(yè)鏈獲利能力大幅提高，互聯(lián)網(wǎng)的無國界性使得全球各國用戶都避之不及，造成的損失也隨著范圍的擴(kuò)散而快速增多。此外，近年來隨著全球網(wǎng)絡(luò)通訊技術(shù)高度發(fā)展，帶寬的不斷增加，互聯(lián)網(wǎng)兼容人數(shù)迅速增長(zhǎng)。而且一旦出現(xiàn)問題，其破壞力將會(huì)越來越大。信息安全不僅給國家信息化進(jìn)程帶來現(xiàn)實(shí)的挑戰(zhàn)，而且基于信息網(wǎng)絡(luò)的滲透、攻防、電子戰(zhàn)等概念，也影響到國防安全，給國家與國家之間帶來新的競(jìng)爭(zhēng)關(guān)系，直接影響到國家安全和社會(huì)穩(wěn)定。擬訂并組織實(shí)施全市人力資源發(fā)展規(guī)劃、需求目錄工作，擬定人才流動(dòng)政策法規(guī)，負(fù)責(zé)全市人才開發(fā)、人才引進(jìn)工作，建立全市統(tǒng)一規(guī)范的人力資源市場(chǎng)，促進(jìn)人力資源合理、有效配置。 蕪湖社保局信息資產(chǎn)總是存在一些弱點(diǎn)（即漏洞），這些弱點(diǎn)被安全威脅利用后，造成安全風(fēng)險(xiǎn)的增加；216。 網(wǎng)絡(luò)安全弱點(diǎn)分析弱點(diǎn)是資產(chǎn)本身存在的，可以被威脅利用、引起組織信息資產(chǎn)或業(yè)務(wù)目標(biāo)的損害，一般的，安全風(fēng)險(xiǎn)總是針對(duì)系統(tǒng)的安全弱點(diǎn)，所謂安全弱點(diǎn)就是系統(tǒng)在某個(gè)方面存在缺陷，而有可能被系統(tǒng)的攻擊者利用，對(duì)系統(tǒng)發(fā)起攻擊。其次，信任模式已被發(fā)現(xiàn)，并找到了一個(gè)被目標(biāo)主機(jī)信任的主機(jī)。使被信任主機(jī)喪失工作能力，攻擊者將要代替真正的被信任主機(jī)。ID名稱說明舉例1Backdoor各種后門和遠(yuǎn)程控制軟件，例如BO、Netbus等2Brute Force各種瀏覽器相關(guān)的弱點(diǎn)，例如自動(dòng)執(zhí)行移動(dòng)代碼等3CGIBIN各種CGIBIN相關(guān)的弱點(diǎn)，例如PHF、board等4Daemons服務(wù)器中各種監(jiān)守程序產(chǎn)生弱點(diǎn)，例如amd, nntp等5DCOM微軟公司DCOM控件產(chǎn)生的相關(guān)弱點(diǎn)6DNSDNS服務(wù)相關(guān)弱點(diǎn)，例如BIND 7Email各種郵件服務(wù)器、客戶端相關(guān)的安全弱點(diǎn)，例如Qpopper的遠(yuǎn)程溢出弱點(diǎn)8Firewalls各種防火墻及其代理產(chǎn)生的安全弱點(diǎn)，例如Gauntlet Firewall CyberPatrol內(nèi)容檢查弱點(diǎn)9FTP各種FTP服務(wù)器和客戶端相關(guān)程序或配置弱點(diǎn)，例如WuFTPD site exec弱點(diǎn)10Information Gathering各種由于協(xié)議或配置不當(dāng)造成信息泄露弱點(diǎn)，例如finger或rstat的輸出11Instant Messaging當(dāng)前各種即時(shí)消息傳遞工具相關(guān)弱點(diǎn)，例如OICQ、IRC、Yahoo messager等相關(guān)弱點(diǎn)12LDAPLDAP服務(wù)相關(guān)的安全弱點(diǎn)，13Network網(wǎng)絡(luò)層協(xié)議處理不當(dāng)引發(fā)的安全弱點(diǎn)，例如LAND攻擊弱點(diǎn)14Network Sniffers各種竊聽器相關(guān)的安全弱點(diǎn)，例如NetXRay訪問控制弱點(diǎn)15NFSNFS服務(wù)相關(guān)的安全弱點(diǎn)，例如NFS信任關(guān)系弱點(diǎn)16NISNIS服務(wù)相關(guān)的安全弱點(diǎn)，例如知道NIS域名后可以猜測(cè)口令弱點(diǎn)17NT Related微軟公司NT操作系統(tǒng)相關(guān)安全弱點(diǎn)18Protocol Spoofing協(xié)議中存在的安全弱點(diǎn)，例如TCP序列號(hào)猜測(cè)弱點(diǎn)19Router/Switch各種路由器、交換機(jī)等網(wǎng)絡(luò)設(shè)備中存在的安全弱點(diǎn)，例如Cisco IOS 20RPCRPC（SUN公司遠(yuǎn)程過程調(diào)用）服務(wù)相關(guān)的弱點(diǎn)，21Shares文件共享服務(wù)相關(guān)的安全弱點(diǎn)，. NetBIOS/Samba等相關(guān)弱點(diǎn)，例如Samba緩沖區(qū)溢出弱點(diǎn)22SNMPSNMP協(xié)議相關(guān)的安全弱點(diǎn)，例如利用“public”進(jìn)行SNMP_SET操作23UDPUDP協(xié)議相關(guān)弱點(diǎn)，例如允許端口掃描等24Web ScanWeb服務(wù)器相關(guān)安全弱點(diǎn)，例如IIS ASP dot弱點(diǎn)25X WindowsX服務(wù)相關(guān)安全弱點(diǎn)26Management安全管理類漏洞 網(wǎng)絡(luò)訪問脆弱性網(wǎng)絡(luò)的訪問策略是不是合理，訪問是不是有序，訪問的目標(biāo)資源是否受控等問題，都會(huì)直接影響到政府機(jī)關(guān)網(wǎng)絡(luò)的穩(wěn)定與安全。 硬件平臺(tái)脆弱性硬件平臺(tái)的脆弱性指硬件平臺(tái)包括硬件平臺(tái)的糾錯(cuò)能力，它的脆弱性直接影響著軟件資產(chǎn)和數(shù)據(jù)資產(chǎn)的強(qiáng)壯性。我們有必要認(rèn)真的分析管理所帶來的安全風(fēng)險(xiǎn)，并采取相應(yīng)的安全措施。 缺乏有效的安全監(jiān)控措施和評(píng)估檢查制度，無法有效的發(fā)現(xiàn)和監(jiān)控安全事件，不利于及時(shí)發(fā)現(xiàn)安全事件并采取相應(yīng)的措施。整體的安全管理體制也變得非常復(fù)雜，其系統(tǒng)配置、規(guī)則設(shè)置、反應(yīng)處理、設(shè)備管理、運(yùn)行管理的復(fù)雜性所帶來的管理成本和管理難度直接制約了安全防御體系的有效性，因而導(dǎo)致了網(wǎng)絡(luò)安全的重大隱患。而蕪湖社保局是國家職能的重要組成，其信息網(wǎng)絡(luò)與國際互聯(lián)網(wǎng)連接，必然會(huì)成為敵對(duì)國家的關(guān)注焦點(diǎn)；216。216。 有怨言的員工：懷有危害局域網(wǎng)